Partajarea internetului pune celelalte dispozitive în VPN?

Activarea partajării internetului nu extinde VPN-ul la tot ce se află pe biroul dumneavoastră. Cele două funcții răspund la întrebări diferite. Partajarea decide ce conexiune alimentează Mac-ul și ce interfețe distribuie acea conexiune, în timp ce un VPN decide încotro merge traficul Mac-ului însuși. Dacă al doilea dispozitiv moștenește tunelul depinde de rutare, de politica clientului și de ceea ce poarta de acces este dispusă să transmită mai departe, iar acestea sunt trei lucruri despre care panoul de partajare nu știe nimic.

Mitul: partajarea conexiunii înseamnă partajarea tunelului

Când cineva spune că funcționează, ceea ce a observat de obicei este că tableta din spatele Mac-ului a încărcat o pagină. Această observație se potrivește cu mai multe căi diferite, inclusiv cu una în care pagina a ieșit direct prin legătura fizică, în timp ce browserul Mac-ului folosea tunelul. O singură încărcare reușită nu distinge nimic. Ea dovedește doar că există o cale oarecare.

Un al doilea dispozitiv nu moștenește o sesiune. Primește o adresă de la Mac, trimite pachete către Mac, iar Mac-ul decide ce face cu ele după propriul tabel de rutare și propria stare a paravanului de foc. Această decizie se ia pe conexiune, nu pe dispozitiv. Două dispozitive din spatele aceluiași Mac pot urma căi diferite atunci când regulile diferă.

Ce alege de fapt panoul de partajare

În Setările sistemului, comenzile de partajare a internetului cer o conexiune sursă și interfețele pe care le vor folosi celelalte dispozitive. Sursa este legătura Mac-ului, iar ghidul Apple însuși avertizează că o partajare neglijentă poate perturba rețeaua la care sunteți conectat.

Nimic din acel dialog nu numește un VPN drept poartă de acces pentru traficul transmis mai departe. Alegerea Ethernet ca sursă nu înseamnă că tunelul este ignorat și nici că tunelul este folosit; înseamnă că interfața fizică a Mac-ului este legătura declarată și că tabelul de rutare decide în continuare.

Opțiunile disponibile depind și de hardware. Un Mac fără port Ethernet, sau unul la care nu este conectată o stație de andocare, nu va oferi alegerea pe care o presupune un tutorial. Verificați panoul pe care îl aveți cu adevărat înainte de a proiecta ceva în jurul lui.

Cum își găsește drumul un pachet transmis mai departe

Dispozitivele din aval sunt ascunse în spatele NAT, iar Mac-ul le rescrie adresele înainte de a trimite ceva în amonte. Dacă în acel moment tunelul deține ruta implicită, pachetele rescrise pot foarte bine să treacă prin el, și de aceea aranjamentul pare să funcționeze într-un test rapid.

Aparența nu este politică. Un client VPN de desktop este construit în jurul traficului Mac-ului însuși, iar întrerupătorul său de siguranță aplică de obicei reguli pentru aplicațiile locale, nu pentru o rețea LAN din spatele mașinii. Când tunelul cade, Mac-ul poate continua să transmită pentru oaspeții săi fără nicio regulă de blocare.

Există și problema versiunii. Un furnizor care a documentat suportul pentru partajare pe o versiune mai veche de macOS poate să fi schimbat comportamentul de atunci, iar un tutorial care arată o intrare VPN nativă în lista de surse poate descrie o interfață pe care clientul dumneavoastră actual nu o creează niciodată.

Testați deci calea în loc să aveți încredere în proiect. Lansați o cerere din al doilea dispozitiv și urmăriți-o la ambele capete, pentru că este singura dovadă care supraviețuiește unei actualizări a clientului. Un test pe care îl puteți repeta după următoarea actualizare valorează mai mult decât o configurație în care doar credeți.

Alegeți deliberat limita de acoperire

Dacă al doilea dispozitiv poate rula clientul aprobat, aceasta este aranjamentul mai solid. Primește propriul profil, propria identitate și propria politică, iar Mac-ul furnizează doar rețeaua de bază.

Dacă nu poate rula un client, atunci aveți nevoie fie de o funcție de partajare documentată de furnizorul VPN, fie de o poartă de acces aprobată care transmite în numele dispozitivului. Ambele au un responsabil și un sfârșit definit, ceea ce este mai mult decât poate oferi o casetă de bifare.

Angajatorii cer oricum adesea modelul pe dispozitiv, pentru că sesiunea unei mașini care reprezintă alte patru este o decizie de încredere diferită de patru dispozitive înregistrate.

Ce să verificați înainte de a promite

Verificați destinația reală a celui de-al doilea dispozitiv, nu pe cea a Mac-ului. Un serviciu privat și o ieșire publică sunt teste diferite, iar trecerea unuia nu spune nimic despre celălalt.

Verificați ambele familii de adrese și rezolvarea numelor. Un aranjament care tunelează IPv4 dar lasă IPv6 pe legătura fizică produce un dispozitiv care pare protejat într-un browser și scurgeri în tot restul.

Apoi verificați starea deconectată. Opriți tunelul și repetați testul din al doilea dispozitiv; dacă ajunge în continuare la internet, aranjamentul partaja o conexiune și nu a partajat niciodată un VPN, ceea ce este un rezultat bun atât timp cât nimeni nu l-a notat ca fiind celălalt lucru.